Оповещения по логам

Оповещения по логам

Эффективное оповещение необходимо для поддержания оптимальной производительности и быстрого решения проблем. Различные стратегии оповещения с помощью логов обеспечивают своевременные уведомления на основе данных логов. Каждая стратегия предлагает уникальные преимущества и конфигурации, отвечающие различным вариантам использования и требованиям. Понимание этих подходов поможет вам выбрать наиболее подходящий метод оповещения, чтобы ваши приложения и системы работали бесперебойно.

Изучите различные методы

Использование оповещения с метриками на основе логов

Используйте пользовательские оповещения с метриками на основе логов, когда вам нужно:

• Устанавливать пороги.
• Применять статистические анализаторы для запуска оповещений.

Метрики на основе логов особенно полезны для обнаружения аномалий в количестве вхождений записей логов или значений, производных от полей логов, таких как http.response_time. Имейте в виду, что анализаторы метрик запускаются каждую минуту, поэтому они не подходят для оповещения в реальном времени. Подробные инструкции см. в разделе Настройка пользовательских оповещений на основе метрик, извлечённых из логов.

Использование оповещения с событиями на основе логов

Для простых сценариев оповещения, где установка порогов не требуется, используйте события Davis, извлечённые из логов. Этот метод идеален в случаях очень редких вхождений шаблона логов (раз в неделю, раз в месяц), когда метрики были бы бесполезны. Он также обеспечивает оповещение почти в реальном времени и мгновенные уведомления без необходимости дополнительного обзора совпадающих данных во времени. Он особенно полезен, когда требуется быстрый отклик на определённые события логов без сложности статистического анализа. Подробные инструкции см. в разделе Настройка оповещений на основе событий, извлечённых из логов.

Использование запросов DQL в пользовательских оповещениях

Используйте запросы DQL в пользовательских оповещениях, когда вам нужно определить пользовательские условия оповещения на основе конкретных шаблонов данных логов, а извлечение метрик или событий невозможно. Этот подход позволяет гибко и точно запрашивать данные для выявления событий или трендов в ваших логах. Имейте в виду, что эти запросы выполняются каждую минуту, что может увеличить потребление лицензии. Поэтому убедитесь, что вы используете только оптимизированные запросы. Этот метод обычно не рекомендуется в качестве основной стратегии оповещения. Однако он может служить запасным вариантом, когда оповещение с помощью метрик или событий невозможно. Подробные инструкции см. в разделе Создание оповещений по логам для события лога или сводки данных логов.

Сравнение методов оповещения

Аспект	События на основе логов	Метрики на основе логов (рекомендуется)	Запросы логов в пользовательских оповещениях
Тип оповещения	Простое оповещение без порогов	Пороговое оповещение с использованием статистических анализаторов	Пользовательские запросы для определения условий оповещения
Время отклика	Самое быстрое	Запускается каждую минуту	Запускается каждую минуту
Сложность конфигурации	Низкая (только извлечение событий)	Высокая (требуется настройка извлечения метрик и пользовательского оповещения об обнаружении аномалий)	Средняя (требуется конфигурация пользовательского оповещения)
Вариант использования	Быстрый отклик на определённые события логов при загрузке	Обнаружение аномалий в вхождениях записей или значениях, производных от полей логов	Пользовательские условия оповещения на основе данных логов
Пример	Мгновенное оповещение для конкретной записи лога	Оповещение об аномалиях в значениях поля http.response_time; оповещение, когда совпадающая запись встречается 10 раз	Оповещение для конкретных результатов запроса логов и применение статистических анализаторов
Стоимость	Зависит от количества сгенерированных событий и размера события	Зависит от количества точек данных и размера метрики	Зависит от сложности запроса и объёма сканируемых данных